Mitä VPN:n läpinäkyvyysraportti oikeastaan kattaa

Avaa raportti ja lue laajuus ennen lukuja. Mikä jakso, mitkä tuotteet, mitkä oikeudelliset mekanismit ja mitkä pyyntöluokat – kaikki ne on kerrottu jossain lähellä alkua. Otsikon kokonaisluku ilman näitä täsmennyksiä on markkinointituote, jossa on viite. Neljä askelta tekee siitä taas todisteen.

Läpinäkyvyysraportin kiinnostava osa on yleensä määritelmät, ei taulukko.

Lue ensin laajuusrivi

Tarkista jakso, katetut tuotteet ja oikeudelliset luokat. Raportti voi kattaa kuluttajapalvelun mutta ei yritystuotetta, tai päinvastoin. Myös lainkäyttöalueilla on merkitystä, koska yhden oikeudellisen mekanismin mukainen pyyntö ei ole sama kuin toisen. Jos laajuus on epäselvä, kokonaislukuja ei voi verrata minkään muun operaattorin kokonaislukuihin, ja niitä vertaileva blogikirjoituksen kaavio on pelkkää koristetta.

Raportoitujen tapahtumien puuttuminen ei ole todiste lokituksen puuttumisesta. Se kertoo vain, ettei ilmoitetuissa luokissa raportoitu mitään, mikä on paljon kapeampi väite.

Yksiköt eivät ole keskenään vaihdettavia

Pyyntö, tili, tapahtuma ja julkistettu tietue ovat neljä eri yksikköä. Raportti voi laskea pyyntöjä ja samalla julkistaa tilejä tai yhdistää tapahtumia yksityisyyden vuoksi. Yhden operaattorin pyyntökohtaisen luvun vertaaminen toisen tilikohtaiseen lukuun tuottaa kaavion, joka ei tarkoita mitään. Pidä yksikkö kiinni luvusta – muistiinpanoissasi ja johtopäätöksissäsi.

Jos menetelmä on epäselvä, pidä epävarmuus sen sijaan että ratkaisisit sen oletuksella. Rehellinen "ei vertailukelpoinen" on hyödyllisempi kuin siisti taulukko, joka on rakennettu arvauksen varaan.

Kuka oikeastaan julkaisee

Tunnista asiakirjan julkaiseva organisaatio ja järjestelmät, joita se ylläpitää. Asiakasprojekti, hakemistosivusto ja itsenäisesti ylläpidetty päätepiste voivat olla kolme eri osapuolta, eikä yhden raportti kerro muista mitään. Infrastruktuurikumppanit ja vapaaehtoiset palvelimet jäävät usein kokonaan laajuuden ulkopuolelle. Se on tosiasia ekosysteemistä, ei kritiikkiä raporttia kohtaan.

Myös jatkuvuus kannattaa tarkistaa. Selkeä arkisto, vakaat määritelmät ja merkittävien muutosten selitykset mahdollistavat vuodesta toiseen lukemisen. Yksittäinen julkaisu ilman historiaa on vaikeampi tulkita kuin vaatimaton, jolla on historia.

Aseta se auditoinnin viereen, älä sen sijaan

Tekninen auditointi tarkastelee komponentteja ja kontrolleja, omalla laajuusilmoituksellaan ja omilla rajoillaan. Se on tilannekuva yhdestä jaksosta, ei operaattorin pysyvä ominaisuus. Se voi kertoa järjestelmän kokoonpanosta ja prosesseista; se ei voi kertoa, kuinka monta pyyntöä saapui. Käytä molempia ja lue kummankin laajuus sen sijaan että olettaisit toisen kattavan aukon. Auditointi, joka jättää asiaankuuluvan infrastruktuurin ulkopuolelle, ei vastaa siitä mitään.

Käytännön kysymys on, antaako operaattori konkreettisia vastauksia todelliseen huoleesi. Jos huoli on säilytys, etsi säilytysilmoitus ja sen takana oleva infrastruktuurinäyttö; pyyntömäärien taulukko ei ole se.

Lue laajuus, yksiköt, julkaisija ja auditoinnin rajat. Päätä sitten, sanooko asiakirja jotain kysymyksestäsi.